Bylo oznámeno vydání nové verze linuxové distribuce „Bottlerocket 1.3.0“ , která obsahuje několik změn a vylepšení systému, z nichž nejdůležitější jsou přidaná omezení MCS v politice SELinux , řešení několika problémů s politikou SELinux, podpora IPv6 v kubeletu a plutu a také podpora hybridního bootování pro x86_64.
Pro ty, kteří Bottlerocket neznají , jedná se o linuxovou distribuci vyvinutou ve spolupráci se společností Amazon, která umožňuje efektivní a bezpečné spouštění izolovaných kontejnerů. Tato nová verze je primárně aktualizací balíčku, i když obsahuje i některé nové funkce.
Distribuce se vyznačuje tím, že poskytuje automaticky a atomicky aktualizovaný nedělitelný obraz systému , který obsahuje linuxové jádro a minimální systémové prostředí, které obsahuje pouze komponenty nezbytné pro spuštění kontejnerů.
O Bottlerocket
Prostředí využívá správce systému systemd, knihovnu Glibc, Buildroot, správce spouštění GRUB , konfigurátor sítě Wicked, běhové prostředí containerds pro izolaci kontejnerů, platformu Kubernetes, AWS-iam-authenticator a agenta Amazon ECS.
Nástroje pro orchestraci kontejnerů jsou dodávány v samostatném kontejneru pro správu, který je ve výchozím nastavení povolen a spravován prostřednictvím rozhraní AWS SSM API a agenta. Základní bitová kopie postrádá příkazový shell, SSH server a interpretované jazyky (například Python nebo Perl): nástroje pro správu a ladění jsou přesunuty do samostatného kontejneru služeb, který je ve výchozím nastavení zakázán.
Klíčovým rozdílem oproti podobným distribucím, jako jsou Fedora CoreOS, CentOS/Red Hat Atomic Host, je primární zaměření na zajištění maximální bezpečnosti v kontextu posílení systému proti potenciálním hrozbám, ztížení zneužití zranitelností v komponentách operačního systému a zvýšení izolace kontejnerů.
Hlavní nové funkce Bottlerocket 1.3.0
Tato nová verze distribuce zdůrazňuje opravu zranitelností v Docker Toolkit a Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) souvisejících s nesprávnou konfigurací oprávnění, která umožňovala neoprávněným uživatelům opustit domovský adresář a spustit externí programy.
Mezi implementovanými změnami lze nalézt přidání podpory IPv6 do kubelet a pluto , dále možnost restartu kontejneru po změně jeho konfigurace a přidání podpory pro instance Amazon EC2 M6i do eni-max-pods.
Za zmínku stojí také nová omezení MCS pro politiku SELinuxu a také vyřešení několika problémů se politikou SELinuxu. Pro platformu x86_64 je navíc implementován hybridní režim spouštění (s podporou EFI a BIOSu) a Open-vm-tools přidává podporu pro filtry zařízení založené na sadě nástrojů Cilium.
Na druhé straně byla odstraněna kompatibilita s verzí distribuce aws-k8s-1.17 založenou na Kubernetes 1.17, a proto se doporučuje kromě varianty varianty k8s využívající nastavení cgroup runtime.slice a system.slice.
Z dalších změn, které v této nové verzi vynikají:
- Příznak regionu byl přidán do příkazu aws-iam-authenticator
- Restartujte upravené hostitelské kontejnery
- Aktualizován výchozí ovládací kontejner na v0.5.2
- Eni-max-lusky aktualizovány o nové typy instancí
- Přidány nové filtry cilium do nástrojů open-vm
- Zahrnout / var / log / kdumpen logdog tarballs
- Aktualizujte balíčky třetích stran
- Přidána definice vln pro pomalou implementaci
- Přidáno 'infrasys' pro vytvoření TUF infra na AWS
- Archivujte staré migrace
- Změny dokumentace
A konečně, pokud máte zájem dozvědět se více , podrobnosti naleznete na následujícím odkazu.